Au milieu de la guerre en cours entre la Russie et l’Ukraine, des organisations gouvernementales, agricoles et de transport situ\u00e9es \u00e0 Donetsk, Lougansk et en Crim\u00e9e ont \u00e9t\u00e9 attaqu\u00e9es dans le cadre d’une campagne active qui abandonne un cadre modulaire in\u00e9dit appel\u00e9 CommonMagic<\/strong>.<\/p>\n “Bien que le vecteur initial de compromission ne soit pas clair, les d\u00e9tails de l’\u00e9tape suivante impliquent l’utilisation de harponnage ou de m\u00e9thodes similaires”, Kaspersky a dit<\/a> dans un nouveau rapport.<\/p>\n La soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9, qui a d\u00e9tect\u00e9 les attaques en octobre 2022, suit le cluster d’activit\u00e9s sous le nom de “Bad Magic”.<\/p>\n Les cha\u00eenes d’attaque impliquent l’utilisation d’URL pi\u00e9g\u00e9es pointant vers une archive ZIP h\u00e9berg\u00e9e sur un serveur Web malveillant. Le fichier, lorsqu’il est ouvert, contient un document leurre et un fichier LNK malveillant qui aboutit au d\u00e9ploiement d’une porte d\u00e9rob\u00e9e nomm\u00e9e PowerMagic.<\/p>\n \u00c9crit en PowerShell, PowerMagic \u00e9tablit un contact avec un serveur distant et ex\u00e9cute des commandes arbitraires, dont les r\u00e9sultats sont exfiltr\u00e9s vers des services cloud comme Dropbox et Microsoft OneDrive.<\/p>\n PowerMagic sert \u00e9galement de conduit pour fournir le framework CommonMagic, un ensemble de modules ex\u00e9cutables con\u00e7us pour effectuer des t\u00e2ches sp\u00e9cifiques telles que l’interaction avec le serveur de commande et de contr\u00f4le (C2), le cryptage et le d\u00e9cryptage du trafic C2 et l’ex\u00e9cution de plugins.<\/p>\n Deux des plugins d\u00e9couverts jusqu’\u00e0 pr\u00e9sent ont la capacit\u00e9 de capturer des captures d’\u00e9cran toutes les trois secondes et de collecter des fichiers int\u00e9ressants \u00e0 partir de p\u00e9riph\u00e9riques USB connect\u00e9s.<\/p>\n Kaspersky a d\u00e9clar\u00e9 n’avoir trouv\u00e9 aucune preuve reliant l’op\u00e9ration et ses outils \u00e0 un acteur ou \u00e0 un groupe mena\u00e7ant connu.<\/p>\n <\/p>\n![\"Cybermenace\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEgkAwRFoxgUrW8FWUNvVzZJ4sRjdz_2VZzrLvzkRRR5zQbhGe9gU5yVE3N8D0j6-BhHym92QcS0Lr7t56cWNp3hMHjG3FYKAqadwKaZCNsCP4Ff8W7y8btCALTdoXPwzVsFF2x4DPHqknQcc490ghnnN-Ce03QuwubcFwe9Xq9SY3Q2M_t4QcnpmGD4\/s728-e3650\/powermagic.png\" "\\"Cybermenace\\"\/")
<\/div>\n